🤖 machine learning

ThreatVisionAI: A Hybrid CNN-ViT Framework for Image-Based Malware Classification

ThreatVisionAI ist ein hybrides Framework, das Raw-Image-CNNs, Wavelet-basierte CNNs und Vision Transformer kombiniert, um durch die effektive Erfassung komplementärer räumlicher, frequenzdomänenbezogener und globaler relationaler Merkmale eine erstklassige Genauigkeit bei der Klassifizierung von Malware-Familien zu erreichen.

Ursprüngliche Autoren: Allyson Taylor, Prashanth BusiReddyGari

Veröffentlicht 2026-07-07

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Allyson Taylor, Prashanth BusiReddyGari

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einen riesigen Stapel gefälschter Banknoten zu sortieren. Einige sehen den echten fast identisch aus, während andere mit unsichtbarer Tinte oder seltsamen Texturen bearbeitet wurden, die das bloße Auge nicht ohne Weiteres erkennen kann. Traditionelle Sicherheitskräfte (alte Antivirensoftware) prüfen lediglich eine Liste bekannter Seriennummern. Wenn eine neue Fälschung noch nie zuvor gesehen wurde, lassen sie sie passieren.

Das Papier „ThreatVisionAI“ schlägt ein neues, super-intelligentes Sortierteam vor, um diesen Job zu erleden. Anstatt nur nach den Seriennummern zu schauen, verwandelt dieses Team jede Malware (schädlichen Computercode) in ein Graustufenbild und nutzt drei verschiedene „Experten“, um dieses Bild gleichzeitig zu analysieren.

Die drei Experten im Team

Der „Pixel-Detektiv“ (Raw-Image CNN):
- Was er tut: Dieser Experte betrachtet das Bild genau so, wie es ist, Pixel für Pixel. Es ist wie ein Detektiv, der die Form und Farbe einer Banknote betrachtet, um zu sehen, ob die Kanten gezackt sind oder ob sich wiederkehrende Muster zeigen.
- Stärke: Er ist großartig darin, lokale Details und vertraute Formen zu erkennen.
- Schwäche: Er übersieht manchmal subtile Unterschiede, wenn zwei schlechte Noten aus der Ferne fast identisch aussehen.
Der „Textur-Flüsterer“ (Wavelet-basierte CNN):
- Was er tut: Dies ist die besondere Innovation des Papiers. Stellen Sie sich vor, Sie nehmen diese Banknote und schicken sie durch einen speziellen Filter, der das Bild in seine Frequenzen zerlegt. Er trennt die „glatten“ Teile von den „rauen“ Teilen und betrachtet die horizontale, vertikale und diagonale „Körnung“ des Bildes.
- Stärke: Er kann winzige, richtungsgebundene Texturen erkennen, die der Pixel-Detektiv übersieht. Es ist, als könnte man die Körnung des Papiers fühlen, um zwei identisch aussehende Fälschungen voneinander zu unterscheiden. Das Papier fand heraus, dass dieser Experte entscheidend war, um Malware-Familien zu unterscheiden, die dem menschlichen Auge fast identisch erscheinen.
- Was er tut: Er ist gut darin, die feinen Texturen zu erkennen, die der Pixel-Detektiv übersieht.
Der „Großbild-Beobachter“ (Vision Transformer oder ViT):
- Was er tut: Während die anderen beiden auf spezifische Stellen schauen, tritt dieser Experte einen Schritt zurück und betrachtet das gesamte Bild auf einmal. Er verbindet die Punkte zwischen der oberen linken Ecke und der unteren rechten Ecke und versteht, wie verschiedene Teile des Bildes global miteinander in Beziehung stehen.
- Stärke: Er versteht die „Geschichte“ des gesamten Bildes, nicht nur die einzelnen Sätze.

Wie sie zusammenarbeiten

Anstatt einen einzelnen Experten die endgültige Entscheidung treffen zu lassen, nutzt das Team ein „Weighted Soft Voting“-System (gewichtete Abstimmung). Stellen Sie es sich wie eine Jury vor:

Der Pixel-Detektiv erhält 50 % der Stimme (er ist der zuverlässigste).
Der Textur-Flüsterer erhält 40 % der Stimme (er ist sehr gut darin, subtile Unterschiede zu erkennen).
Der Großbild-Beobachter erhält 10 % der Stimme (er fügt etwas zusätzlichen Kontext hinzu).

Sie kombinieren ihre Meinungen, um eine endgültige Entscheidung zu treffen.

Die Ergebnisse: Wie gut haben sie abgeschnitten?

Das Team testete dieses System an einem berühmten Datensatz für Malware-Bilder namens Malimg, der etwa 9.500 Bilder von 25 verschiedenen Arten von Schadsoftware enthält.

Die Punktzahl: Das Team erreichte eine Genauigkeit von 98,01 %. Das bedeutet, dass es von 100 neuen Malware-Bildern 98 Mal die Familie der Schadsoftware korrekt identifiziert hat.
Der Sieg: Der „Textur-Flüsterer“ (Wavelet) war der Star des Teams. Er half dem Team, zwei sehr ähnliche Malware-Familien (Swizzor.gen!E und Swizzor.gen!I) zu unterscheiden, bei denen die anderen Experten Schwierigkeiten hatten, sie zu trennen. Ohne diese frequenzbasierte Sichtweise hätte das Team sie häufiger verwechselt.

Das eine Ding, das sie nicht lösen konnten

Das Papier gibt zu, dass es ein hartnäckiges Problem gibt. Es gibt zwei Arten von Malware, Autorun.K und Yuner.A, die in ihrer Bildform so unglaublich ähnlich aussehen, dass selbst die besten menschlichen Experten sie nicht unterscheiden können.

Die KI gab ihr Bestes, aber sie tippte immer wieder „Yuner.A“, obwohl es eigentlich „Autorun.K“ war.
Die Forscher nutzten ein Tool namens Grad-CAM (das die Teile des Bildes hervorhebt, auf die die KI schaut) und fanden heraus, dass die KI bei beiden exakt dieselben Stellen betrachtete.
Fazit: Dies war kein Fehler der KI, sondern eine Einschränkung der Daten. Die Bilder sind einfach zu identisch.

Die Kehrseite (Einschränkungen)

Adversarial Attacks (Angriffe durch Täuschung): Das Papier testete, was passiert, wenn jemand versucht, die KI zu täuschen, indem er winziges, unsichtbares Rauschen zum Bild hinzufügt (wie ein kleiner Zaubertrick). Die Genauigkeit des Systems sank signifikant, was zeigt, dass es getäuscht werden kann, wenn ein Angreifer genau weiß, wie das Modell funktioniert.
Alte Daten: Die Testdaten stammen aus dem Jahr 2011. Obwohl die Methode auf diesem alten Datensatz gut funktioniert, merken die Autoren an, dass sie noch nicht auf modernen, massiven Datensätzen getestet wurde.

Zusammenfassung

ThreatVisionAI ist ein Hybridsystem, das Malware-Bilder nicht nur betrachtet, sondern auch deren „Textur“ hört und ihre „globale Struktur“ versteht. Durch die Kombination dieser drei verschiedenen Arten des Sehens sortiert es schädliche Software mit sehr hoher Genauigkeit und beweist, dass es genauso wichtig ist, die „Frequenz“ eines Bildes zu betrachten, wie das Bild selbst zu sehen.

Technisches Resümee: ThreatVisionAI

Problemstellung

Traditionelle Methoden der Malware-Erkennung, insbesondere signaturbasierte Systeme, haben Schwierigkeiten, gegen obfuskierte, polymorphe und Zero-Day-Bedrohungen zu generalisieren. Heuristische Ansätze bieten zwar eine breitere Abdeckung, leiden jedoch häufig unter hohen Falsch-Positiv-Raten. Die bildbasierte Malware-Klassifizierung hat sich als vielversprechende Alternative herausgestellt, indem binäre Dateien in visuelle Repräsentationen umgewandelt werden, um strukturelle Beziehungen zu erfassen. Bestehende Deep-Learning-Frameworks stehen jedoch vor erheblichen Einschränkungen:

Verlust von Frequenzinformationen: Standardmäßige Convolutional Neural Networks (CNNs) und Vision Transformer (ViTs) operieren typischerweise ausschließlich im Pixelraum. Durch Pooling und gestrichelte Konvolutionen (strided convolutions) werden hochfrequente Texturdetails verworfen, die entscheidend sind, um eng verwandte Malware-Familien (z. B. visuell ähnliche Varianten wie Swizzor.gen!E und Swizzor.gen!I) zu unterscheiden.
Architektonische Lücken: Während hybride Modelle (z. B. LeViT-MC, ConvNeXt–Swin) CNN- und Transformer-Zweige kombinieren, fehlt ihnen ein dedizierter Frequenzbereich-Zweig. Infolgedessen bleiben richtungsgebundene Texturunterschiede zwischen Familien ungenutzt.
Interpretierbarkeit: Viele KI-gestützte Frameworks verfügen nicht über klare Erklärungen für Modellentscheidungen, wodurch Analysten ohne Einblick darüber bleiben, warum bestimmte Fehlklassifizierungen auftreten.

Methodik: Das ThreatVisionAI-Framework

Die Autoren schlagen ThreatVisionAI vor, ein hybrides Klassifikations-Framework, das darauf ausgelegt ist, komplementäre räumliche, frequenzbasierte und globale relationale Merkmale zu erfassen. Die Architektur besteht aus drei parallelen Zweigen, die unabhängig vone von ihnen trainiert und mittels gewichteter Soft-Voting-Verfahren fusioniert werden:

1. Raw-Image CNN-Zweig

Input: Verarbeitet Graustufen-Malware-Bilder (224 × 244) direkt, welche die Visualisierungen auf Byte-Ebene repräsentieren.
Architektur: Nutzt ein ResNet-18-Backbone, das von Grund auf neu trainiert wurde (kein ImageNet-Pretraining), um räumliche Merkmale von niedrigen Kanten bis hin zu familienspezifischen strukturellen Signaturen zu erlernen.
Funktion: Erfasst lokale räumliche Muster, die in der visuellen Struktur der Binärdatei inhärent sind.

2. Wavelet-basierter CNN-Zweig

Input: Verarbeitet dieselben Bilder nach einer einstufigen 2D-Haar-Wavelet-Zerlegung. Dies transformiert das 224 × 224 Bild in vier 112 × 112 Koeffizienten-Subbänder:
- Approximation (cA): Niedrigfrequenter Inhalt.
- Details (cH, cV, cD): Hochfrequente Variationen in horizontaler, vertikaler und diagonaler Richtung.
Architektur: Verwendet ein ResNet-18-Backbone, das modifiziert wurde, um vier Kanäle (gestapelte Subbänder) aufzunehmen.
Funktion: Extrahiert mehrskalige Frequenzstrukturen und richtungsgebundene Texturmerkmale, die im rohen Pixelraum unsichtbar sind, was die Trennung von Familien mit ähnlichem globalem Erscheinungsbild erleichtert.

3. Vision Transformer (ViT) Zweig

Input: Nimmt dieselben vier Kanäle der Wavelet-transformierten Eingaben wie der Wavelet-CNN auf.
Architektur: Verwendet ein ViT-Tiny-Modell (vortrainiert auf ImageNet-21k via timm). Die Patch-Projektionsschicht wurde angepasst, um vier Kanäle zu akzeptieren.
Funktion: Modelliert weitreichende Abhängigkeiten über das gesamte Bild hinweg mittels Self-Attention-Mechanismen und erfasst so den globalen Kontext, den lokale konvolutionale Filter übersehen.

Fusionsstrategie

Gewichtetes Soft-Voting: Anstatt einer gelernten Merkmalskonkatenierung kombiniert das Framework die 25-Klassen-Wahrscheinlichkeitsvektoren jedes Zweigs durch eine gewichtete Summe.
Gewichtung: Bestimmt durch eine exhaustive Grid-Suche auf dem Validierungsdatensatz: 0,50 (Raw CNN), 0,40 (Wavelet CNN) und 0,10 (ViT).
Begründung: Dieser Ansatz erfordert keine zusätzlichen trainierbaren Parameter, bewahrt die Transparenz der Zweigbeiträge und mildert Overfitting auf kleinen Datensätzen ab.

Experimenteller Aufbau und Ergebnisse

Das Framework wurde auf dem Malimg-Datensatz evaluiert, der 9.465 Graustufenbilder aus 25 Malware-Familien mit signifikanter Klassenimbalance enthält. Die Daten wurden in 70/15/15 (Train/Validierung/Test) aufgeteilt.

Leistungsmetriken

Volle Hybrid-Genauigkeit: 98,01 %
Gewichteter F1-Score: 0,9742
Ablationsstudien-Erkenntnisse:
- Der Wavelet-CNN allein (0,9733 F1) übertraf den Raw-CNN (0,9662 F1), was den Wert von Frequenzbereich-Merkmalen demonstriert.
- Der ViT-Zweig allein performte schlechter (0,9492 F1), lieferte aber einen konsistenten, wiederholbaren Gewinn, wenn er zum CNN-Ensemble hinzugefügt wurde, indem er komplementären globalen Kontext beisteuerte.
- Das hybride Modell übertraf ein zweigliedriges CNN+ViT-Ensemble (0,9692 F1), was bestätigt, dass Frequenzbereich-Merkmale für diesen Datensatz entscheidend sind.

Spezifische Verbesserungen

Swizzor-Varianten: Der Wavelet-Zweig verbesserte die Unterscheidung zwischen visuell ähnlichen Familien signifikant. Der F1-Wert von Swizzor.gen!E stieg von 0,7368 auf 0,8571 und von Swizzor.gen!I von 0,5263 auf 0,8276 im Vergleich zum Raw-CNN.
Fehleranalyse (Grad-CAM): Das Modell klassifiziert Autorun.K konsistent als Yuner.A fehl (F1 = 0,0000). Grad-CAM-Heatmaps zeigten, dass die visuellen Strukturen und Aktivierungsmuster dieser beiden Familien nahezu identisch sind, selbst für menschliche Experten. Die Autoren kommen zu dem Schluss, dass dies eine fundamentale Einschränkung des Datensatzes ist und kein Defizit des Modells.

Robustheit und Effizienz

Adversarielle Robustheit: Unter FGSM White-Box-Angriffen sank die Genauigkeit drastisch (von 98,01 % auf 7,84 % bei $\epsilon=0,05$ ), was auf eine Anfälligkeit gegenüber adversariellen Perturbationen hindeutet.
Effizienz: Das vollständige hybride Modell enthält 27,91 Mio. Parameter und erreicht eine Inferenzzeit von 5,4 ms pro Bild auf einer GPU, was für Nicht-Echtzeit-Scanning-Workflows als operativ akzeptabel gilt.

Zentrale Beiträge und Bedeutung

Das Paper beansprucht folgende Beiträge:

Neuartige hybride Architektur: Einführung von ThreatVisionAI, dem ersten Framework, das einen dedizierten Frequenzbereich-Zweig (Wavelet) neben einem räumlichen CNN und einem globalen Kontext-ViT zur Malware-Klassifizierung integriert.
Nachgewiesener Wert von Frequenzmerkmalen: Ablationsstudien bestätigen, dass Wavelet-basierte Merkmale messbare Gewinne bei der Unterscheidung eng verwandter Malware-Familien liefern, die räumliche Filter allein nicht trennen können.
Interpretierbarkeit: Die Anwendung von Grad-CAM liefert visuelle Belege dafür, dass systematische Fehlklassifizierungen (speziell Autorun.K vs. Yuner.A) durch intrinsische visuelle Ähnlichkeiten zwischen den Klassen getrieben werden, was Analysten ein klares Verständnis der Modellgrenzen ermöglicht.

Limitationen und zukünftige Arbeiten

Die Autoren räumen explizit mehrere Einschränkungen ein:

Datensatz-Umfang: Die Evaluierung beschränkt sich auf den Malimg-Datensatz (gesammelt im Jahr 2011), welcher die Skala und Diversität moderner Malware-Ökosysteme nicht widerspiegelt. Die Generalisierbarkeit auf Benchmarks wie MaleVis oder BIG2015 bleibt unvalidiert.
Adversarielle Anfälligkeit: Das Modell ist anfällig für White-Box-Angriffe, und es wurden keine Tests gegen stärkere Angriffe (z. B. PGD) oder Datensatzverschiebungen durchgeführt.
Zukünftige Richtungen: Die Autoren schlagen zukünftige Arbeiten vor, die eine Multi-Datensatz-Evaluierung, adversarielles Training, die Untersuchung alternativer Wavelet-Basen sowie die Integration dynamischer Verhaltenssignale für ein multimodales Framework beinhalten.